Alerta de seguridad: vulnerabilidad crítica en PHP con ataques activos
Patchstack emitió una alerta de seguridad urgente sobre dos vulnerabilidades críticas en PHP que podrían permitir a los atacantes ejecutar su propio código en los servidores afectados. De acuerdo con el comunicado, ya se han reportado ataques activos por parte de múltiples empresas de hosting.
La única solución confirmada es actualizar PHP. El equipo de seguridad de PHP ha programado una actualización de emergencia para el 21 de octubre de 2026 a las 14:00 UTC. El comunicado señala que, si es posible, se aplique la actualización de PHP tan pronto como esté disponible, o bien confirmar que el proveedor de hosting se encargará de ello. Asimismo, se recomienda seguir los canales oficiales de PHP para saber cuándo está disponible la actualización.
Patchstack mantiene un feed de incidentes en vivo donde publicará todas las actualizaciones importantes, incluidos posibles parches y soluciones alternativas. Sin embargo, hasta el momento la única solución confirmada será actualizar la versión de PHP tan pronto como esté disponible. Las vulnerabilidades están en PHP en sí, por lo que afectan a cualquier aplicación que se ejecute en una versión vulnerable de PHP, incluyendo WordPress, Drupal, Joomla y Magento. Las fallas residen en el intérprete de PHP, no en una aplicación en particular, por lo que cualquier sitio con una versión vulnerable de PHP está expuesto.
Los detalles de la vulnerabilidad se filtraron el 20 de octubre, antes de la divulgación coordinada, y el problema se denomina “PHP2Shell”. Las versiones afectadas se anunciarán junto con la actualización de seguridad. En cuanto a si Patchstack puede bloquear estos ataques, el comunicado indica que es poco probable: la empresa está explorando opciones personalizadas, pero el problema está en PHP en sí y no en una aplicación en particular, como WordPress. Patchstack mitiga vulnerabilidades en la capa de aplicación específicamente, y PHP se encuentra en un nivel superior. El proveedor de hosting podría tener soluciones alternativas, y se proporcionarán opciones adicionales en la publicación en vivo, pero por ahora la mejor solución es actualizar PHP a la nueva versión una vez que esté disponible.
El comunicado también menciona que se compartirán actualizaciones importantes en LinkedIn y X. La alerta subraya la importancia de mantener actualizado el intérprete de PHP en cualquier infraestructura web, ya que las fallas en el núcleo del lenguaje afectan a todos los sistemas que lo ejecutan, independientemente del gestor de contenidos utilizado.
Imagen: Foto de Muhammed Ensar en Pexels
